SSH-vidarebefordran, VPN eller RD Gateway: vilken väg för ett RDP-skrivbord?

Alla tre alternativen bär RDP, så protokollet är inte den avgörande faktorn. Den verkliga frågan är hur mycket räckvidd en användare bör få, och vem som driver det som ger den. En vidarebefordrad TCP-port, ett routat privat nätverk och en skrivbordsgateway svarar på den frågan i tre olika storlekar. Välj storleken först och produkten följer.

Frågan är omfattning, inte protokoll

Skriv ned vad användaren faktiskt behöver röra. Om svaret är ett skrivbord är en design som ger ett subnät för bred. Om svaret är skrivbord plus filresurser plus en administratörskonsol kommer en design som vidarebefordrar en port tillbaka nästa månad för två vidarebefordringar till. Listan över destinationer är kravet; allt annat är implementering.

Håll ingångsidentiteten åtskild från Windows-kontot som loggar in på skrivbordet. Varje design nedan har båda, och att blanda dem är hur ett jump host-konto får mer befogenhet än någon avsåg.

En vidarebefordrad TCP-tjänst

En godkänd SSH jump host kan vidarebefordra en lokal lyssnare till RDP-tjänsten den kan nå. Bind lyssnaren till loopback när den bara finns för användarens egen maskin, vilket är den normala avsikten med en lokal vidarebefordran. Vidarebefordran är en bekvämlighet för en person, inte en tjänst för ett team.

SSH-inloggningen autentiserar åtkomst till vidarebefordringsvägen, och inget mer. Windows-autentisering och RDP-auktorisering sker fortfarande vid destinationen, så ett giltigt jump-konto är inte en giltig skrivbordssession. Det är två oberoende portar och båda måste öppnas.

Begränsa jump-kontots vidarebefordringsdestinationer i stället för att ge ett obegränsat skal. Den här designen passar för en liten, uttryckligen listad uppsättning maskiner, och den lägger till en värd, en identitet och en livscykel att driva. Den extra värden är den del folk glömmer när de jämför med en gateway: någon måste patcha den, övervaka den och äga dess nycklar.

En routad privat arbetsyta

Ett VPN ger privat DNS och åtkomst till flera tjänster som används tillsammans, och det är dess faktiska värde. Att dölja en skrivbordsport är en bieffekt, inte skälet att bygga det. Den skillnaden spelar roll när någon frågar varför VPN:et överhuvudtaget finns.

Begränsa rutter och resursbehörigheter till de avsedda destinationerna. En ansluten användare förtjänar inte automatiskt hela LAN:et, och destinationens brandvägg plus Windows-inloggningsrättigheter förblir separata gränser som VPN:et inte ersätter.

Den här ordningen är bekväm för en etablerad hanterad arbetsyta. Kostnaden är att introduktion, enhetskrav, resolverbeteende och anslutningspolicy blir en del av användarens arbetsmiljö, och någon måste äga dem. Jämför den kostnaden med gatewayens licensiering innan du antar att VPN:et är det billigare alternativet.

En RDP-specifik gateway

Remote Desktop Gateway ger en RDP-specifik gräns i stället för en nätverksgräns. Dess policy för anslutningsauktorisering avgör vem som får ansluta, och dess resurspolicy avgör vilka interna resurser de får nå genom den. Båda policyerna är en del av produkten, inte valfria tillägg.

Planera certifikat, identitetsintegrering och nödvändiga transporter tillsammans. Gatewayen är inte en anonym TCP-relä, och att distribuera den som en sådan hoppar över policyerna som motiverar den. Den bär också licens- och driftkrav som en enda vidarebefordrad port inte har. Budgetera för dem före designgranskningen, inte efter.

Där ett team redan driver central skrivbordsåtkomst är den overheaden redan betald. Där en person behöver en maskin är det en stor maskin att köpa för ett litet jobb.

Vad alla tre fortfarande behöver

Behåll värdidentitetskontroller i varje design. Ett lokalt alias eller en tunnel gör inte ett oväntat certifikat ofarligt, och att acceptera ett som inte matchar för att komma igenom en proxy omintetgör poängen med tunneln. Namnet i klienten och namnet på certifikatet måste avstämmas medvetet.

Tillämpa MFA vid ingångspunkten där policyn kräver det, och behåll destinationens kontokontroller. De två kompletterar varandra: den första avgör vem som får nå dörren, den andra vem som får öppna den. Att utelämna någon av dem lämnar en design som ser komplett ut och inte är det.

Välj den gräns som passar arbetet och den driftsmodell du faktiskt har. Översikt över RDS-roller beskriver gatewayens plats bland sessionsvärden och andra komponenter, och det är den kontexten som gör dess kostnad läsbar.